Cisco 300-410: ネットワークサービス、回復性、運用 — 学習ガイド

By Laurynas Brazys · 16 August 2026 · #cisco #300-410 #certification #exam-prep #study-guide

こちらの一部です： Cisco CCNP Enterprise 300-410 ENARSI — 学習ガイド. 検証済みの解答で練習： Cisco試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

概要

このセクションでは、ルーテッドネットワークの可用性、デバッグ可能性、セキュリティを維持するための運用上の構成要素について説明します。具体的には、ファーストホップ冗長化、アクティブパスプロービングと高速障害検出、サービスプレーン機能（DHCPリレー、NTP、DNS、テレメトリ）、安全な管理のためのAAA、イベント駆動型オートメーション、設定のセーフティネット、そして監視とトラブルシューティングのための運用ライフサイクルです。大規模環境で回復力のある運用を可能にするため、設計上の選択肢、コントロールプレーンの相互作用、および一般的な障害モードについても言及します。

ファーストホップ冗長化と高速障害検出

ファーストホップ冗長化プロトコル（FHRP）は、LANセグメントに安定したデフォルトゲートウェイを提供します。

• HSRP: 仮想IPと仮想MAC 0000.0c07.acXX を使用します。プライオリティは0～255で、数値が高い方が優先されます。プリエンプションはデフォルトで無効です。高プライオリティのルータが復旧した際にアクティブな役割を取り戻すには、プリエンプトを有効にします。インターフェイストラッキングとオブジェクトトラッキングは、プライオリティから値を減算することで、部分的な障害（例：WANアップリンクの喪失）発生時にフェイルオーバーを強制します。
• VRRP: 仮想MAC 0000.5e00.01XX を使用します。仮想IPの所有者がデフォルトでマスターになります。プリエンプションは（HSRPとは異なり）事実上デフォルトで有効です。障害発生時にマスターを降格させるには、CLI拡張機能でオブジェクトをトラックします。
• GLBP: Active Virtual Forwarder（AVF）間でホストのデフォルトゲートウェイの負荷を分散します。これはAVGによって調整され、AVFごとに仮想MAC（0007.b4XX.XX）を使用します。重み付けとトラッキングにより、ヘルス状態が悪化したAVFは除外されます。重み付けの範囲設定を誤ると、フラッピング条件下でオシレーション（役割の頻繁な切り替わり）を引き起こす可能性があるため注意が必要です。

設計上の注意点:

• 短時間の不安定な状態でのチャーン（頻繁な切り替わり）を避けるため、遅延付きでプリエンプションを有効にします。
• 一時的なブラックホールを避けるため、FHRPのhello/holdタイマーを上流の検出要件と整合させます。
• L2/L1ドメインを超えたサイレント障害を検出するために、インターフェイスの状態だけでなく、IP SLAで上流の到達可能性をトラックします。

オブジェクトトラッキングを使用したHSRPの設定例:

• interface Vlan10 standby 10 ip 10.10.10.1 standby 10 priority 110 standby 10 preempt delay minimum 30 standby 10 track 1 decrement 30
• track 1 ip sla 10 reachability
• ip sla 10 icmp-echo 198.51.100.1 source-interface GigabitEthernet0/0 frequency 5
• ip sla schedule 10 life forever start-time now

Bidirectional Forwarding Detection (BFD) は、ルーティングプロトコルから独立して、パス障害の検出を高速化します。

• モード: 非同期モード（オプションでecho機能付き）、シングルホップ（IGP、直接接続されたeBGP）、マルチホップ（iBGP）。ハードウェアオフロードが存在する場合はechoを使用し、それ以外の場合はタイマーを控えめな値に設定します。
• 一般的なタイマー: 送受信50ms、multiplier 3（hold time 150ms）。ハードウェアの能力に合わせて選択します。設定値を過度に小さくすると、誤検出や高いCPU使用率を引き起こす可能性があります。
• ルーティングとの連携:
  • OSPF: インターフェイスで bfd を有効にします。BFDダウンに追従してネイバーが切断され、SPFスロットルが調整されていれば200ms未満のコンバージェンスを実現します。
  • EIGRP: インターフェイスごと、または名前付きモードで bfd を有効にします。BFD障害時にアジャセンシーが迅速にリセットされます。そもそもアジャセンシーを確立するためには、K値とASNが一致していることを確認してください。
  • BGP: neighbor fall-over bfd は両側での設定が必要です。マルチホップiBGPの場合は、マルチホップBFDを設定します。
• 障害モード: OSPFでのMTUの不一致は、ネイバーをExStart/Exchange状態で停止させます。インターフェイスのMTUを修正してDBD交換を可能にしてください。非対称パスやNATパス越しのBFDは避けてください。マルチホップBFDはNATを確実に通過できません。

IP SLA、オブジェクトトラッキング、および条件付きコントロールプレーン動作

IP SLAは、到達可能性とパフォーマンス（ICMP echo、UDP jitter、TCP connect、HTTP、DNS）を評価するための合成プローブを生成します。オブジェクトトラッキングは、SLAの結果をルーティングやFHRPの決定に結びつけます。

一般的なパターン:

• スタティックルートのトラッキング: ip route 0.0.0.0 0.0.0.0 203.0.113.1 track 10 を使用し、ISPのヘルスチェック対象へのプローブが失敗したときにデフォルトルートを無効化します。
• HSRP/GLBPのトラッキング: 上流の到達可能性が悪化したときに、プライオリティ/重みを減らしてゲートウェイのフェイルオーバーを強制します。
• ポリシーベースルーティング: set ip next-hop verify-availability はトラッキングを使用し、ネクストホップが稼働していることが確認された場合にのみトラフィックを誘導します。

条件付きBGP動作:

• 両方のISPが稼働している場合、優先したいピアからのインバウンドに対して LOCAL_PREF を高く設定することで、より低遅延のISPを優先します。LOCAL_PREF は、ネットワーク全体のアウトバウンドパス選択に影響を与えるための正しいアトリビュートです。
• ルートマップの「ブラックホール」を避ける。ローカルプリファレンスを選択的に設定する場合、他のすべてのルートを許可するために最後にpermit文を含めます:
  • route-map SETLP permit 10 match ip address prefix-list PRIMARY-PFX set local-preference 200
  • route-map SETLP permit 20 permit 20 がないと、一致しなかったルートは拒否され、セッションはアップしているように見えてもプレフィックスがインストールされません。
• 条件付き広告: neighbor X advertise-map BACKUP exist-map PRIMARY は、PRIMARYルートが存在しなくなった場合にのみBACKUPルートを広告します。正しいRIB（AFI/SAFI）に対してルートの存在を検証し、フラップイベント中のタイミングに注意してください。

RPF/uRPFとトラッキング:

• ip verify unicast source reachable-via rx によるソース検証はstrictモードであり、一時的なFIBルックアップ中に有効なトラフィックをドロップする可能性があります。ルート検索が一時的に失敗した際のドロップを防ぐには、ip verify unicast source reachable-via any（looseモード）を使用し、必要に応じてACLで例外を補完します。

ネットワークサービスとセキュアな管理

コアサービス:

• DHCPリレー: L3 SVI上のip helper-addressは、BOOTP/DHCPブロードキャストをユニキャストとして転送します。Option 82の挿入により、回線ごとのポリシーが可能になります。リレーエージェント情報をサーバーが信頼するように設定してください。VRF環境では、ip helper-address vrf NAMEを使用し、リターンルーティングを確認します。
• NTP: 冗長化され、認証されたサーバーを導入します。認証キー付きのNTPv4を推奨します。ステップチェンジを引き起こすクライアント/サーバーの非対称性を避けてください。PKI操作を有効にする前に、クロックの安定性を確認してください。
• DNS: 複数のリゾルバを指定したip name-serverを使用し、セキュリティのためにDNSガードを有効にします。遅延に敏感なフローについては、オンサイトにローカルキャッシングリゾルバを設置することを検討してください。
• SNMP: authPrivを指定したSNMPv3を使用し、ビューと送信元アドレスを制限します。ハードウェアやラインカードの変更後も監視マッピングを安定させるため、snmp-server ifindex persistで再起動後もインターフェイスインデックスを維持します。
• Syslog: 適切なファシリティと重要度を設定し、サポートされていればTCPまたはTLS経由で冗長化されたコレクタに送信します。構造化データについては、パーサーの期待値を合わせます。シーケンス番号とタイムゾーン/UTC付きのタイムスタンプを含めてください。
• NetFlow/IPFIXとモデル駆動型テレメトリ: v9/IPFIXを使用してコレクタにエクスポートします。高スループットのインターフェイスではサンプリングを適用します。ほぼリアルタイムのストリーミングには、スケーラブルなエンコーディングを使用するダイアルアウト方式のモデル駆動型テレメトリ（サポートするプラットフォームではgRPC/gNMI）を使用します。粒度とコレクタの容量のバランスを取ってください。

コントロールプレーン保護:

• CoPP: service-policyはデータインターフェイスではなく、control-plane配下で適用します。ポリシーをインターフェイスの入力からコントロールプレーンに移動することで、CPUポリシングが正しく適用され、意図しないユーザートラフィックのドロップを回避できます。
• MPLS/LDP認証: 不正なLSRの挿入を防ぐため、LDPセッションでMD5（利用可能な場合はTCP-AO）を使用します。同様に、OSPF/EIGRPを認証で保護し、エリア/ASNとK値を一致させます。

AAAとセキュアな管理:

• コマンド認可とアカウンティングにはTACACS+を、ネットワークアクセスとログイン認証にはRADIUSを使用します。両方を高可用性とネットワークベースの冗長性で展開します。

• ローカルフォールバック付きのメソッドリスト:

undefined

undefined

undefined

サーバーグループが誤ったプロトコルタイプで作成された場合は、それを修正し（aaa group server radius …）、定義されたRADIUSサーバーを名前でバインドします（server name ISE1）。

• VTYごとのACL、SSHのみの許可、exec-timeout、ロールベースのCLIビューで管理アクセスを制限します。SNMP、RADIUS、TACACS+の共有シークレットは安全に保管します。IPv6では、RA GuardとND inspectionを展開します。ND inspectionは、スプーフィングを防ぐためにレイヤー2でSLAACバインディングを学習し、保護します。

VRFとインターフェイスの移動:

• インターフェイスのVRFを変更すると、IPアドレッシングがクリアされます。正しい順序で実行してください:

undefined

undefined

undefined

undefined

運用、監視、トラブルシューティングのライフサイクル

設定のセーフティネット：

• 設定をリモートストレージにアーカイブする (archive, path, time-period)。既知の正常なチェックポイントにロールバックするには configure replace を使用する。候補コンフィグをサポートするプラットフォームでは commit replace delta を検証する。メンテナンスウィンドウやアウトオブバンド (OOB) アクセスと連携する。ブート変数をイメージと同期させ、アップグレード後にはPKIストアを検証する。

変更管理と復旧：

• 変更前：依存関係のマッピング、障害基準、および切り戻し計画。変更中：段階的な展開、ヘルスチェック、およびテレメトリによる確認。変更後：最終状態のスナップショット取得、ドキュメントの更新、および監視例外のクローズ。
• 高速復旧：ウォームリロード方式、サポートされている場合はISSU、およびリスクを考慮したタイマーウィンドウを持つ構造化されたロールバック（例：成功時にキャンセルされるX分後のスケジュールされたリロード）。

監視のベースラインとアラート：

• ベースライン：リンク使用率のパーセンタイル、クラスごとの損失/遅延/ジッター、コントロールプレーンのCPU、隣接関係の数、インターフェースエラー、ルートチャーン、BFDセッションの安定性、およびsyslogのボリューム。
• しきい値：ハードリミットに対する静的しきい値（CPU > 85%）、偏差に対する動的しきい値（15分間にわたる標準偏差の3倍）。ノイズを低減するために複数シグナルのアラートを設計する（例：BFDセッションのフラップ、CRCスパイク、インターフェースダウンの組み合わせ）。
• 根本原因分析 (RCA)：時間軸を合わせたデータ（トポロジの変更、ルーティングテーブル、フローのシフト、ログ）を相関させる。原因となるイベント（ファイバー切断）とそれに依存する症状（プレフィックスの取り下げ）をタグ付けする。

階層的なトラブルシューティングとパケットパスの検証：

• ユーザーの症状から開始し、L1/L2（エラー、MTU）を検証し、次にL3の到達可能性（DFセット付きのping、traceroute）、次にコントロールプレーン（ネイバー、LSDB/隣接関係）、最後にデータプレーン（CEF隣接関係、NetFlow、利用可能であればEPC）を検証する。
• 既知のブロッカー：
  • OSPFの仮想リンクは通常のトランジットエリアを必要とする。NSSA/スタブエリアでは仮想リンクはダウンしたままになる。
  • OSPFがExStartでスタックするのは、多くの場合MTUの不一致を示している。
  • EIGRPの隣接関係は、ASNまたはK値の不一致で失敗する。
  • 再配送ループ：再配送時にルートにタグを付け、再注入時にフィルタリングする。例：OSPFに再配送して戻す際にタグ100を拒否する。
• BGPの意図を検証する：LOCAL_PREF、AS_PATH、および条件付き広告の状態を確認する。advertise-map/exist-mapのロジックが実際のRIBの存在と一致していることを確認する。

運用の回復力とインシデント後の改善：

• 多層防御を構築する：デュアルホームのFHRPゲートウェイ、BFDでバックアップされたIGP/BGP、IP SLA駆動のトラッキング、CoPP、およびローカルフォールバック付きのAAA。フェイルオーバーとリカバリーのランブックを定期的にテストする。
• インシデント後：非難を目的としないポストモーテムを実施し、タイムラインを文書化し、主要因と寄与要因を特定し、是正措置（設定ガード、プローブの改善、しきい値の調整）を実装し、後の訓練で成果を測定する。

実践的な問題シナリオ

Acme Health社は、サイトごとに2つのWANアップリンクを運用している。1つは低遅延のISP-A、もう1つはバックアップ用の高遅延の衛星ISP-Bである。HSRPがユーザーVLANのゲートウェイ冗長性を提供している。以前の障害時、トラフィックはISP-Bにフェイルオーバーしたが、ISP-Aの復旧後も戻らず、シャーシのアップグレード後にインターフェースインデックスが変更されたため、監視アラームが急増した。

アプローチ：

1. プリエンプションとトラッキングでファーストホップの動作を安定させる。

• HSRPにpreempt delayと、ISP-Aのヘルスターゲットを追跡するIP SLAトラッキングを設定する。理由：preemptは、復旧後に優先度の高いゲートウェイがアクティブな役割を取り戻すことを保証する。SLAベースのトラッキングは、単なるリンクキャリアではなく、アップストリームの到達可能性を検出し、ブラックホールを防ぐ。

2. BGPのLOCAL_PREFでISP-Aを出口として優先し、バックアップは条件付きで広告する。

• ISP-Aネイバーにインバウンドのルートマップを適用し、指定されたプレフィックスに高いLOCAL_PREFを設定する。関連のないルートの抑制を避けるために、最後にpermitを含める。一部のピアに対して neighbor advertise-map BACKUP exist-map PRIMARY を使用する。理由：LOCAL_PREFは、両方のISPが稼働している場合にアウトバウンドトラフィックを決定論的に誘導する。最後のpermitは意図しないルートドロップを回避する。条件付き広告は、プライマリが取り下げられた場合にのみバックアップを広告する。

3. IGPとBGPにバインドされたBFDで障害検出を高速化する。

• OSPF/EIGRPインターフェースとBGPネイバーでBFDを有効にし、サポートされている場合は50/150 msのタイマーを使用する。理由：サブ秒の検出により、コンバージェンス時間が短縮される。一貫したタイマーは非対称なフェイルオーバーを減少させる。iBGPにはマルチホップBFDが使用されていることを検証し、NATを通過するパスを避ける。

4. コントロールプレーンとマネジメントプレーンを強化する。

• CoPPをインターフェースへのアタッチからコントロールプレーンのサービスポリシーに移動する。SNMPv3と snmp-server ifindex persist を有効にする。MPLSが使用されている場合は、MD5でLDPセッションを保護する。理由：CoPPはコントロールプレーン配下でCPUのみを保護する。永続的なifIndexは監視の継続性を維持する。LDP認証は不正なLSRを阻止する。

5. リモートアクセスのために、回復力のあるフォールバックを備えたAAAを確保する。

• RADIUSサーバーグループを正しく定義し、サーバーを名前でバインドする。ローカルフォールバック付きのログインメソッドリストを作成し、VTYに適用する。理由：正しいグルーピングにより、デバイスが実際にRADIUSにクエリすることを保証する。ローカルフォールバックは、RADIUS/ISEの障害時にアクセスを維持する。

6. ルーティングの衛生状態とマルチキャスト/ソース検証を検証する。

• 再配送ポイントでは、ルートにタグを付け、再注入をフィルタリングしてループを回避する。uRPFが必要な場合は、複雑なルーティングを持つWANエッジで reachable-via any (ルーズモード) を使用し、一時的なルックアップ失敗時のドロップを防ぐ。理由：タギングはフィードバックを防ぐ。ルーズuRPFはセキュリティと運用安定性のバランスをとる。

7. 迅速な検出と復旧のために計測と自動化を行う。

• リンクごとの遅延と損失をベースライン化し、偏差ベースのアラートを設定する。BFDセッションとHSRPの状態に関するテレメトリをストリーミングする。HSRPの状態変化をトリガーとする event syslog pattern を持つEEMアプレットを展開し、show techs を自動的にキャプチャする。理由：ベースラインはアラートノイズを低減する。ストリーミングテレメトリは迅速な相関分析を可能にする。EEMは障害発生の瞬間にフォレンジックデータをキャプチャする。

8. ロールバックを計画し、リカバリーをテストする。

• archive と configure replace を使用して、切り戻し用のイメージと設定を準備する。メンテナンスウィンドウをスケジュールしてISP-Aのフェイルオーバーとフェイルバックをシミュレートし、HSRPの再プリエンプション、BGPのLOCAL_PREFの動作、および条件付き広告を検証する。理由：管理されたテストは新しい設計を検証する。configure replace は決定論的なエスケープハッチを提供する。

ゲートウェイ制御、BGPポリシー、高速検出、および管理の強化を順序立てて実施し、さらにテレメトリとEEMによる計測を行うことで、Acme Health社はフェイルオーバーの固着問題を解決し、インデックスの変動による監視の中断を防ぎ、WANインシデントの平均復旧時間を測定可能に短縮する。

← VPN、トンネリング、リモート接続 · すべてのドメイン

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →